Anforderungen für Mobile Endgeräte
Mobile IT-Systeme, welche mit verschiedenen Daten- oder Telekommunikationsnetzes verbunden werden können.
Beispiele: Notebooks.
Teil von IT-Systeme.
108 Anforderungen gelten für ein Asset dieser Kategorie: 15 direkt zugeordnet, 93 geerbt. Dazu kommen die 364 Anforderungen ohne Zielobjektkategorie, die in jedes Anforderungspaket gehören: zusammen 472. Nach STM.2.1.4.1 erhält ein Asset auch die Kategorien über seiner eigenen, so rechnet die Übersicht.
Dieses Paket weitergeben: Im Export öffnen als Excel, CSV oder Checkliste für Tickets und Wikis. Dort lassen sich weitere Kategorien dazunehmen.
Anforderungen mit zwei Kategorien stehen bei beiden. Der Katalog sagt nicht, ob „oder“ oder „und“ gemeint ist; wir lesen es als „oder“. Das ist unsere Lesart, keine Aussage des BSI.
Direkt zugeordnet (15)
Abschnitt betitelt „Direkt zugeordnet (15)“| Anforderung | Pflicht | Stufe |
|---|---|---|
| KONF.2.6 Mobile Device Management | SOLLTE | Standard-SicherheitsstufeStandard |
| SENS.7.12 Öffentliche WLANs (auch für Nutzende) | SOLLTE | Standard-SicherheitsstufeStandard |
| SENS.7.13 Unverschlüsselte WLANs (auch für Nutzende) | SOLLTE | Standard-SicherheitsstufeStandard |
| SENS.7.23 Geolokation (auch für Nutzende) | SOLLTE | Standard-SicherheitsstufeStandard |
| SENS.8.3 Risiken der Nutzung von mobilen Endgeräten (auch für Nutzende) | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.3.4 Physischer Diebstahlschutz | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.3.6 Fernlöschung oder -sperre | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.3.6.1 Automatische Fernlöschung oder -sperre | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.5.1.2 Pre-Boot-Authentifizierung | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.6.1.3 Isolierte Arbeitsumgebungen | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.6.3 Kiosk-Modus | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.14.4 Caching (auch für Anwendungen) | KANN | Erhöhte SicherheitsstufeErhöht |
| SENS.7.14 Unautorisierte WLANs (auch für Nutzende) | KANN | Erhöhte SicherheitsstufeErhöht |
| SENS.7.18 Mobile Endgeräte in Sicherheitsbereichen (auch für Nutzende) | KANN | Erhöhte SicherheitsstufeErhöht |
| SENS.7.19 Unverschlüsselte SMS oder MMS (auch für Nutzende) | KANN | Erhöhte SicherheitsstufeErhöht |
Geerbt von IT-Systeme (93)
Abschnitt betitelt „Geerbt von IT-Systeme (93)“Gilt für ein Asset dieser Kategorie, weil Mobile Endgeräte unter IT-Systeme steht.
| Anforderung | Pflicht | Stufe |
|---|---|---|
| ARCH.5.2 Blockieren direkter öffentlicher Verbindungen | SOLLTE | Standard-SicherheitsstufeStandard |
| ASST.2.3.1 Autorisierung von Anwendungen | SOLLTE | Standard-SicherheitsstufeStandard |
| ASST.3.4 Kennzeichnung ohne vertrauliche Daten | SOLLTE | Standard-SicherheitsstufeStandard |
| ASST.5.1 Wartungsbedarf dokumentieren | SOLLTE | Standard-SicherheitsstufeStandard |
| ASST.5.2 Geregelte Wartungen | SOLLTE | Standard-SicherheitsstufeStandard |
| ASST.5.4 Behandlung als Änderungen und Tests | SOLLTE | Standard-SicherheitsstufeStandard |
| ASST.5.5 Wartungsfenster | SOLLTE | Standard-SicherheitsstufeStandard |
| ASST.5.7 Dokumentation von Wartungen | SOLLTE | Standard-SicherheitsstufeStandard |
| ASST.6.4 Zurücksetzen auf Ausgangszustand | SOLLTE | Standard-SicherheitsstufeStandard |
| BER.3.10 Anmeldeversuchsgrenze am System | SOLLTE | Standard-SicherheitsstufeStandard |
| BER.3.12 Systemsperre bei Inaktivität | SOLLTE | Standard-SicherheitsstufeStandard |
| BER.3.20 Zwischenspeicherung von Zugangsdaten | SOLLTE | Standard-SicherheitsstufeStandard |
| BER.4.5 Systemfunktionen ohne Authentifizierung | SOLLTE | Standard-SicherheitsstufeStandard |
| BER.5.5 Deaktivierung einfacher Biometrie auf IT-Systemen | SOLLTE | Standard-SicherheitsstufeStandard |
| BER.5.6 Vorkonfigurierte Authentisierungsmittel von IT-Systemen | SOLLTE | Standard-SicherheitsstufeStandard |
| BER.5.10 Zugriffsbeschränkung pro IT-System | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.3.1.1 Authentifizierungen | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.3.1.2 Ausgeführte Kommandozeilenbefehle | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.3.1.3 Anbindung von Peripheriegeräten | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.3.1.4 Systemfehler | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.4.2 Automatische Angriffserkennung | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.5.10.2 Automatisierte Überwachung von Systemupdates | SOLLTE | Standard-SicherheitsstufeStandard |
| GEB.6.1 Zugang zu Ausgabesystemen | SOLLTE | Standard-SicherheitsstufeStandard |
| GEB.6.2 Geschützte Aufstellung | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.2.1 Grundkonfiguration für Systeme | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.2.1.1 Versionierung der Systemkonfiguration | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.2.2 Kryptographische Verfahren in IT-Systemen | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.2.3 Default-Zugangsdaten in IT-Systemen | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.2.4 Deaktivierung nicht benötigter Systemfunktionen | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.2.4.1 Nicht benötigte Zertifikate | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.2.4.2 Externe Cloud-Anbindungen | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.2.5 Überprüfung der Systemkonfiguration | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.3.1 Kryptographischer Hardwarespeicher | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.3.2 Speicherverschlüsselung | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.3.3 SIM-PIN | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.3.7 Einschränkung angeschlossener Peripherie | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.3.8 Einschränkung von Wechselmedien | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.4.1 Anbindung an Verzeichnisdienst | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.4.1.1 Weiterleitung von Anmeldeinformationen | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.4.2 DNS-Anbindung | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.4.2.1 DNS-Verschlüsselung | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.4.3 Authentifizierung von Fernwartungsfunktionen | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.4.4 Einschränkung von Fernwartungsfunktionen | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.4.5 Zeitquellen | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.5.1 Authentifizierung am System | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.5.1.1 Authentifizierung an der Firmware | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.5.2 Keine Mehrfachanmeldung | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.6.1 Minimal erforderliche Berechtigungen für Anwendungen | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.6.4 Privilegierte Systemfunktionen | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.7.1 Echtzeitscanner | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.7.2 Regelmäßige Scans | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.7.5 Alarmierung | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.7.6 Automatische Updates | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.7.9 Einschränkung der Installation | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.7.10 Einschränkung der Ausführung | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.7.14 Code-Signierung im Betriebssystemkern | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.7.15 Lokale Firewall | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.7.16 Anti-Exploit | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.7.16.1 Anti-Exploit für den Arbeitsspeicher | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.8.1 Automatische Überprüfung | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.8.1.1 Automatische Sicherheitsupdates | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.9.1 Speicherplatzbegrenzung | SOLLTE | Standard-SicherheitsstufeStandard |
| NOT.4.2 Sicherung des Systems | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.3 Mikrosegmentierung | KANN | Erhöhte SicherheitsstufeErhöht |
| ASST.5.3 Autorisierung von Wartungen | KANN | Erhöhte SicherheitsstufeErhöht |
| ASST.6.3 Konformitätsprüfung | KANN | Erhöhte SicherheitsstufeErhöht |
| BER.3.24 Alternative Authentifizierung am IT-System | KANN | Erhöhte SicherheitsstufeErhöht |
| BER.4.7 IT-System-Zugangskonto | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.3.1.5 Störungen der Netzerreichbarkeit | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.3.1.6 Systemspezifische Ereignisse | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.4.9 Manipulations-Checkup | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.4.10 Host-basierte Köder | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.5.4 Regelmäßige Penetrationstests | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.5.5 Red Teaming | KANN | Erhöhte SicherheitsstufeErhöht |
| GEB.5.2 Schutz gegen Manipulation | KANN | Erhöhte SicherheitsstufeErhöht |
| GEB.5.3 Physische Mikrosegmentierung | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.2.5.1 Automatische Konfigurationsverwaltung | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.2.7 Souveräne Werkzeuge | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.2.8 Alternative Administrationszugänge | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.2.9 Abgesicherter und authentisierter Bootprozess | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.3.5 Standortbestimmung | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.6.1.1 Datenkapselung | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.6.1.2 Isolierung von Anwendungen | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.6.4.1 Rollenbasierte Privilegierung | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.6.5 Dynamische Zugriffskontrolle im System | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.7.3 Host-basierte Angriffserkennung | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.7.4 Angriffserkennung anhand von Netzverkehr | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.7.7 Regelmäßiger Funktionstest | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.7.8 Dual-Engine-Strategie | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.7.11 Einschränkung von Softwarebibliotheken | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.7.12 Einschränkung von Skripten | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.7.13 Einschränkung von Systemaufrufen | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.9.3 Alternative Komponenten für kritische Funktionen | KANN | Erhöhte SicherheitsstufeErhöht |
Dokumente zu diesen Anforderungen (15)
Abschnitt betitelt „Dokumente zu diesen Anforderungen (15)“Diese Anforderungen nennen 15 Dokumenttypen, in denen das Ergebnis festzuhalten ist. Die Anforderungen ohne Zielobjektkategorie und die der Methodik-Praktiken nennen weitere, alle stehen unter Dokumente im Katalog.
Ohne Zielobjektkategorie (364)
Abschnitt betitelt „Ohne Zielobjektkategorie (364)“364 Anforderungen nennen keine Kategorie. Nach dem BSI-Standard 300-1 (3.4.1) gehören sie in jedes Anforderungspaket. Sie stehen hier nicht einzeln, die Liste gibt es im Export (Auswahl: „ohne Zielobjektkategorie“).